xray-core:latest-ls 镜像最近更新后，自定义容器用户运行显示Geofile权限错误。

[dansean]

完整性要求

• 我保证阅读了文档，了解所有我编写的配置文件项的含义，而不是大量堆砌看似有用的选项或默认值。
• 我提供了完整的配置文件和日志，而不是出于自己的判断只给出截取的部分。
• 我搜索了 issues, 没有发现已提出的类似问题。
• 问题在 Release 最新的版本上可以成功复现

描述

xray-core:latest-ls 镜像最近更新后，自定义容器用户运行显示Geofile权限错误。

重现方式

版本：25.5.16
tag：latest-ls
uid：13
user：www-data
错误：
Failed to start: main: failed to load config files: [/etc/xray/01_log.json /etc/xray/02_policy.json /etc/xray/03_dns.json /etc/xray/04_stats.json /etc/xray/05_routing.json /etc/xray/06_outbounds.json /etc/xray/07_metrics.json /etc/xray/08_xxx8080.json /etc/xray/09_socket8081.json] > infra/conf: failed to build routing configuration > infra/conf: invalid field rule > infra/conf: failed to parse domain rule: geosite:category-ads-all > infra/conf: failed to load geosite: CATEGORY-ADS-ALL > infra/conf: failed to load file: geosite.dat > infra/conf: failed to open file: geosite.dat > open /usr/share/xray/geosite.dat: permission denied”

客户端配置

Details

服务端配置

Details

客户端日志

Details

服务端日志

Details

[Meo597]

#4738
此PR可破

[Fangliding]

很奇怪啊 二分法测下来有问题的commit是这个。。
0d0fe7e

[Meo597]

基础映像是无发行版的
你这个wwwdata用户估计都没有对应的uid

你应该设置nonroot这个用户名运行，uid65532，然后dat所在目录给755归root uid0

当前的这个docker映像不用也罢，因为做得并不好
最后为啥把我的回复折叠了

[Fangliding]

因为之前的版本没问题 我说的那个commit之后才有问题的 是核心行为变了 一码归一码 和你的pr没关系 所以标ot了

[Meo597]

你是直接拉ghcr的image测的吧
我盲猜是chainguard的breakchange导致的，可以试试在你说的那个commit之前，用最新的build一下

[Fangliding]

谢了 还真是 够无聊

[Meo597]

就是试了一下发现当前docker映像很烂
因此提交了 #4738

[Evolto2019]

之前的版本可以正常使用，但今天更新到ghcr.io/xtls/xray-core:latest后反而出现了同款报错：

Xray 25.6.7 (Xray, Penetrates Everything.) Custom (go1.24.4 linux/arm64)
A unified platform for anti-censorship.
2025/06/08 04:03:40.155187 Using confdir from arg: /usr/local/etc/xray/
2025/06/08 04:03:40.155627 [Info] infra/conf/serial: Reading config: &{Name:/usr/local/etc/xray/config.json Format:json}
Failed to start: main: failed to load config files: [/usr/local/etc/xray/config.json] > infra/conf: failed to build routing configuration > infra/conf: invalid field rule > infra/conf: failed to parse domain rule: geosite:category-ads-all > infra/conf: failed to load geosite: CATEGORY-ADS-ALL > infra/conf: failed to load file: geosite.dat > infra/conf: failed to open file: geosite.dat > open /usr/local/share/xray/geosite.dat: permission denied

最后用root运行容器后解决了，但这样又把安全性拉回去了。另外，在试错过程中发现，如果把/usr/local/etc/xray/config.json的权限设置为644， 则会报错：

Xray 25.6.7 (Xray, Penetrates Everything.) Custom (go1.24.4 linux/arm64)
A unified platform for anti-censorship.
2025/06/08 03:58:58.141037 Using confdir from arg: /usr/local/etc/xray/
Failed to start: main: failed to load config files: [/usr/local/etc/xray/config.json] > infra/conf/serial: failed to read config: &{Name:/usr/local/etc/xray/config.json Format:json} > open /usr/local/etc/xray/config.json: permission denied

改为755后就能正常运行。据此猜测，第一处报错的问题是不是出在这里的644权限？

[Meo597]

之前的版本可以正常使用，但今天更新到ghcr.io/xtls/xray-core:latest后反而出现了同款报错：

Xray 25.6.7 (Xray, Penetrates Everything.) Custom (go1.24.4 linux/arm64)
A unified platform for anti-censorship.
2025/06/08 04:03:40.155187 Using confdir from arg: /usr/local/etc/xray/
2025/06/08 04:03:40.155627 [Info] infra/conf/serial: Reading config: &{Name:/usr/local/etc/xray/config.json Format:json}
Failed to start: main: failed to load config files: [/usr/local/etc/xray/config.json] > infra/conf: failed to build routing configuration > infra/conf: invalid field rule > infra/conf: failed to parse domain rule: geosite:category-ads-all > infra/conf: failed to load geosite: CATEGORY-ADS-ALL > infra/conf: failed to load file: geosite.dat > infra/conf: failed to open file: geosite.dat > open /usr/local/share/xray/geosite.dat: permission denied

最后用root运行容器后解决了，但这样又把安全性拉回去了。另外，在试错过程中发现，如果把/usr/local/etc/xray/config.json的权限设置为644， 则会报错：

Xray 25.6.7 (Xray, Penetrates Everything.) Custom (go1.24.4 linux/arm64)
A unified platform for anti-censorship.
2025/06/08 03:58:58.141037 Using confdir from arg: /usr/local/etc/xray/
Failed to start: main: failed to load config files: [/usr/local/etc/xray/config.json] > infra/conf/serial: failed to read config: &{Name:/usr/local/etc/xray/config.json Format:json} > open /usr/local/etc/xray/config.json: permission denied

改为755后就能正常运行。据此猜测，第一处报错的问题是不是出在这里的644权限？

不好意思新版docker没测geodat，我服务端没用。是目录需要755。新的PR昨晚提交了等合并

[atlanticfirst]

今天更新后我也遇到了geo文件的权限问题，暂时通过手工指定dat文件的位置解决了。

话说大佬是不是可以考虑搞个回退机制，比如如果geo文件读取出现问题就忽略现有的geo路由规则，流量从一个指定的回退出口出去，优先保证xray的正常运行。

这种一旦有大变动，配置出现问题xray直接炸，需要找其他手段连上服务器的感觉好痛苦。

[RPRX]

其实我本来以为这 docker 镜像没多少人用的，本着炸了也没事的心态合并的

[niqy1988]

写一下更新日志吧，不仅是nonroot权限问题，entrypoint和配置文件的默认路径也改了

[Meo597]

写一下更新日志吧，不仅是nonroot权限问题，entrypoint和配置文件的默认路径也改了

PR #4738

Break changes:

1. 不再以root权限运行：如果你出于任何理由不得不以root权限运行（大部分用户不需要，也不建议这么做）
   可以加参数恢复root权限，docker run -d --user root

   其它情况比如要监听<1024端口，你应该用容器标准做法：外部映射小端口，内部改用大端口 docker run -d -p 443:8443

2. 配置文件路径变更：需要注意配置文件权限，默认创建好的文件权限是对的，你可以参考它们的值

3. 限制了日志文件权限，如果你使用非默认日志文件路径，你必须保证uid 65532可写

4. -ls后缀的标签没了，也没啥人用，现在默认已是ls的geodata，如果你之前用-ls现在应该删掉

PS:
此PR的所有改动，旨在追求更好的安全性

在此PR之前的Docker是一个半成品，方便性上不如teddysun/xray
试图追求安全性，但只做了一半
此PR沿着原有思路继续改进安全性

如果你还是追求以前的方便风格，或可考虑切换到teddysun/xray，它使用量巨大，官方教程中也是它，但你必须考虑潜在的供应链投毒风险，因为他用自己的服务器而不是 GitHub Action 来编译构建

---

因为这些break changes，可以预期到从旧版本更新时会挂
不过大多数人都是手动的，看到报错修改个路径就完事了
少部分人可能是自动更新